Bạn có quyền yêu cầu bên đang xử lý dữ liệu cá nhân của mình cho biết họ đã thu thập gì, dùng vào việc gì, chia sẻ cho ai. Quyền này được Luật Bảo vệ dữ liệu cá nhân 2025 ghi nhận và có hiệu lực từ 1/1/2026. Nhưng câu trả lời bạn nhận được phụ thuộc vào việc bạn hỏi ai: doanh nghiệp thường phải trả lời khá đầy đủ, còn cơ quan nhà nước khai thác vì nhiệm vụ an ninh, điều tra thì có thể không thông báo.
Bài này chỉ ra dấu vết truy cập thường nằm ở đâu, viết yêu cầu sao cho được trả lời, và những gì nên kỳ vọng một cách thực tế. Nếu bạn đang gặp chuyện người lạ biết quá nhiều về mình, đây cũng là trình tự để gom bằng chứng trước khi báo cơ quan chức năng.
Quyền được biết: nội dung và giới hạn
Theo tinh thần Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể dữ liệu, tức chính bạn, có các quyền cốt lõi như được biết về hoạt động xử lý dữ liệu, đồng ý hoặc không đồng ý, truy cập để xem và chỉnh sửa, yêu cầu xoá, hạn chế xử lý, phản đối, khiếu nại và yêu cầu bồi thường khi bị thiệt hại. Quyền được biết là nền của tất cả, vì không biết thì không có gì để phản đối.
Quyền này có giới hạn. Luật cho phép xử lý dữ liệu không cần sự đồng ý trong một số trường hợp như thực hiện nghĩa vụ luật định, bảo vệ tính mạng, phục vụ hoạt động của cơ quan nhà nước theo luật chuyên ngành, phòng chống tội phạm. Trong những trường hợp đó, bên xử lý có thể không phải thông báo cho bạn, hoặc chỉ thông báo khi không ảnh hưởng tới nhiệm vụ.
Chi tiết như thời hạn bên kiểm soát dữ liệu phải trả lời, mẫu yêu cầu, chi phí nếu có, được quy định ở văn bản hướng dẫn. Bài không ghi con số vì quy định còn mới và có thể được điều chỉnh; khi gửi yêu cầu, hãy hỏi luôn bên nhận về thời hạn họ áp dụng.
Dấu vết truy cập thường nằm ở đâu
Không có một nơi duy nhất cho biết "ai đã xem bạn". Dấu vết nằm rải rác ở từng hệ thống, mỗi nơi bạn có một cách hỏi khác.
| Nơi giữ dấu vết | Thường ghi lại gì | Cách bạn tiếp cận |
|---|---|---|
| Ứng dụng định danh điện tử của bạn | Lịch sử đăng nhập, thiết bị đã dùng, các lần bạn chia sẻ thông tin cho tổ chức (tuỳ phiên bản ứng dụng) | Tự xem trong ứng dụng; nghi bất thường thì khoá tài khoản và báo công an cấp xã |
| Ngân hàng, nhà mạng, ví điện tử | Các lần xác thực danh tính, thiết bị đăng nhập, thay đổi thông tin hồ sơ khách hàng | Gửi yêu cầu qua kênh chăm sóc khách hàng chính thức hoặc tại quầy |
| Doanh nghiệp bạn từng cung cấp dữ liệu | Dữ liệu đang lưu, mục đích, bên nhận chia sẻ | Gửi yêu cầu bằng văn bản tới đầu mối bảo vệ dữ liệu của doanh nghiệp |
| Cơ sở dữ liệu nhà nước | Nhật ký truy cập của tài khoản cán bộ, cơ quan khai thác | Không xem trực tiếp; khi có căn cứ bị khai thác trái phép, khiếu nại hoặc tố giác để cơ quan có thẩm quyền kiểm tra |
Phần lớn trường hợp bạn tìm ra nguồn lộ ở hàng thứ hai và thứ ba: một dịch vụ bạn từng đăng ký, một đơn vị làm lộ hoặc bán dữ liệu. Kho dữ liệu nhà nước có kiểm soát truy cập chặt hơn, nhưng nếu có cán bộ tra trái phép, nhật ký truy cập là căn cứ để xác minh.
Viết yêu cầu gửi doanh nghiệp sao cho được trả lời
Yêu cầu càng cụ thể, câu trả lời càng ít vòng vo. Một văn bản gọn gồm những phần sau:
- Thông tin để họ xác định đúng bạn: họ tên, số điện thoại hoặc mã khách hàng đã đăng ký; không cần gửi kèm ảnh hai mặt căn cước qua thư điện tử nếu chưa được yêu cầu qua kênh an toàn.
- Nêu rõ căn cứ: bạn thực hiện quyền của chủ thể dữ liệu theo pháp luật về bảo vệ dữ liệu cá nhân.
- Liệt kê câu hỏi: đang lưu những dữ liệu nào về bạn; thu thập từ nguồn nào; dùng vào mục đích gì; đã chia sẻ cho bên nào, khi nào; lưu đến bao giờ.
- Nếu có sự việc cụ thể, mô tả ngắn: ngày nhận cuộc gọi lạ, thông tin người gọi biết, vì sao bạn nghi liên quan tới doanh nghiệp này.
- Đề nghị hình thức trả lời bằng văn bản hoặc thư điện tử, và hỏi thời hạn trả lời họ áp dụng.
- Lưu bản gửi, biên nhận hoặc ảnh chụp màn hình xác nhận đã gửi, ghi ngày.
Doanh nghiệp không trả lời hoặc trả lời qua loa là căn cứ để bạn khiếu nại tới chính doanh nghiệp ở cấp cao hơn, rồi tới cơ quan quản lý nhà nước về bảo vệ dữ liệu cá nhân.
Hỏi cơ quan nhà nước: được trả lời đến đâu
Bạn có thể gửi văn bản tới công an cấp xã nơi cư trú hoặc cơ quan quản lý cơ sở dữ liệu, đề nghị cho biết thông tin của mình có bị khai thác bất thường không, đặc biệt khi có dấu hiệu cụ thể như người lạ đọc đúng số định danh, nơi thường trú, tên cha mẹ. Hãy trình bày sự việc và bằng chứng, không chỉ hỏi chung chung.
Câu trả lời có thể không liệt kê từng lượt truy cập, nhất là khi lượt truy cập thuộc nhiệm vụ của cơ quan tố tụng, điều tra. Đây là giới hạn hợp pháp, không phải cơ quan né tránh. Điều bạn có quyền đòi hỏi là việc tiếp nhận được ghi nhận và có kiểm tra khi bạn đã nêu căn cứ.
Nếu bạn có cơ sở cho rằng một cán bộ cụ thể đã tra cứu trái phép để phục vụ việc riêng, như đòi nợ, theo dõi, đây là hành vi vi phạm kỷ luật và có thể vi phạm pháp luật. Kênh đúng là đơn tố cáo gửi cơ quan quản lý trực tiếp người đó hoặc cơ quan có thẩm quyền, kèm bằng chứng, chứ không phải đăng lên mạng xã hội.
Khi đi gửi đơn, mang theo bản in các tin nhắn, danh sách cuộc gọi, ghi chép thời gian, và nói rõ bạn mong muốn điều gì: kiểm tra việc khai thác dữ liệu, xử lý người vi phạm, hay chỉ cần được xác nhận rằng tài khoản định danh của mình chưa bị xâm nhập. Yêu cầu rõ ràng giúp cán bộ tiếp nhận chuyển đúng bộ phận, đỡ cho bạn phải đi lại nhiều lần.
Dấu hiệu cho thấy thông tin của bạn đã bị lấy
Không phải cứ có cuộc gọi quảng cáo là dữ liệu dân cư bị lộ; số điện thoại và tên rò rỉ từ rất nhiều nguồn. Những dấu hiệu dưới đây đáng lo hơn và nên ghi lại cẩn thận:
- Người gọi đọc đúng số định danh, ngày sinh, nơi thường trú hoặc tên cha mẹ, vợ chồng của bạn.
- Nhận thông báo đăng nhập ứng dụng định danh, ngân hàng từ thiết bị lạ.
- Có thuê bao, tài khoản ví, khoản vay mở bằng tên bạn mà bạn không hề đăng ký.
- Nhận thư, bưu phẩm, giấy mời gửi đúng địa chỉ thường trú cũ mà bạn chỉ khai ở một số nơi.
- Người thân nhận cuộc gọi giả danh liên quan tới bạn với thông tin cá nhân khớp đến từng chi tiết.
Ghi thời gian, số gọi, nội dung, ảnh chụp tin nhắn ngay khi xảy ra. Bằng chứng ghi lúc sự việc còn mới giúp cơ quan chức năng khoanh vùng nguồn lộ nhanh hơn nhiều so với lời kể sau vài tháng.
Tự thu hẹp dấu vết của mình từ hôm nay
Tìm ra ai đã lấy dữ liệu khó hơn nhiều so với việc làm cho lần sau khó lấy hơn. Vài thói quen đơn giản giảm đáng kể số nơi giữ thông tin của bạn:
- Khi gửi ảnh căn cước cho bất kỳ ai, ghi chú mục đích và ngày ngay trên ảnh, che những phần không cần như mã QR khi bên nhận không cần quét.
- Không chia sẻ thông tin qua ứng dụng định danh cho dịch vụ chỉ cần xác nhận tuổi hoặc số điện thoại.
- Rà danh sách thiết bị đã đăng nhập ứng dụng định danh, ngân hàng mỗi vài tháng; gỡ thiết bị cũ.
- Đóng tài khoản ở các ứng dụng không còn dùng, kèm yêu cầu xử lý dữ liệu theo quy định.
- Không điền thông tin cha mẹ, nơi thường trú vào các phiếu khảo sát, phiếu bốc thăm trúng thưởng.
- Nhắc người thân lớn tuổi rằng không cơ quan nào đòi đọc mã OTP qua điện thoại.
Những việc này không ngăn được mọi vụ lộ dữ liệu, vì nhiều vụ xảy ra ở phía bên giữ dữ liệu. Nhưng chúng làm cho thông tin trôi nổi về bạn ít hơn và cũ hơn, nghĩa là kẻ gian khó dựng được một câu chuyện đủ thật để lừa bạn hoặc người nhà.
Kỳ vọng thực tế và bước tiếp theo
Bạn có thể không tìm ra người cụ thể. Dữ liệu cá nhân bị mua bán qua nhiều tầng, nguồn gốc thật thường khó truy. Mục tiêu thực tế là chặn thiệt hại: khoá dịch vụ lạ, đổi mật khẩu, báo cho người thân cảnh giác.
Doanh nghiệp làm lộ phải chịu trách nhiệm. Nếu xác định được nguồn lộ là một doanh nghiệp không bảo vệ dữ liệu đúng quy định, bạn có quyền khiếu nại và yêu cầu bồi thường thiệt hại thực tế, với điều kiện chứng minh được thiệt hại và mối liên hệ.
Mua bán dữ liệu có thể là tội phạm. Thu thập, mua bán, công khai trái phép thông tin cá nhân ở mức độ nghiêm trọng có thể bị xử lý hình sự theo quy định hiện hành. Khi có dấu hiệu này, trình báo cơ quan công an thay vì tự điều tra.
Có tranh chấp lớn thì nên có người làm nghề đi cùng. Khi thiệt hại đáng kể hoặc định khởi kiện doanh nghiệp, bạn có thể hỏi luật sư trên AI Cố Vấn (aicovan.com) để được định hướng về chứng cứ và thủ tục trước khi gửi yêu cầu chính thức.
Câu hỏi thường gặp
Có xem được danh sách cán bộ đã tra thông tin của mình trên hệ thống dân cư không?
Người dân không xem trực tiếp được nhật ký truy cập của cơ quan. Bạn có thể đề nghị kiểm tra khi có dấu hiệu bất thường cụ thể; cơ quan có thẩm quyền sẽ dùng nhật ký để xác minh, và việc trả lời chi tiết đến đâu tuỳ tính chất từng lượt khai thác.
Ứng dụng định danh có cho biết tổ chức nào đã nhận thông tin của mình không?
Nhiều phiên bản ứng dụng có mục ghi lại các lần bạn đồng ý chia sẻ thông tin cho tổ chức. Mục này chỉ phản ánh chia sẻ do bạn bấm đồng ý, không phản ánh khai thác của cơ quan nhà nước theo nhiệm vụ.
Doanh nghiệp có được thu phí khi trả lời yêu cầu xem dữ liệu không?
Vấn đề chi phí do văn bản hướng dẫn quy định và có thể khác nhau theo loại yêu cầu. Trước khi gửi, hãy hỏi doanh nghiệp về chi phí nếu có; yêu cầu biết thông tin cơ bản về dữ liệu của chính mình nhìn chung không nên trở thành rào cản tài chính.
Người gọi đòi nợ biết cả địa chỉ nhà bố mẹ mình thì báo ở đâu?
Ghi lại cuộc gọi, số máy, nội dung, rồi báo công an cấp xã nơi cư trú. Nếu khoản nợ là của bạn với một tổ chức tín dụng hoặc công ty tài chính, đồng thời khiếu nại tới chính tổ chức đó về việc bên đòi nợ thu thập, sử dụng thông tin người thân trái phép.
Có được yêu cầu doanh nghiệp xoá hết dữ liệu sau khi hỏi xong không?
Bạn có quyền yêu cầu xoá khi dữ liệu không còn cần cho mục đích đã đồng ý hoặc khi bạn rút lại đồng ý. Doanh nghiệp được giữ phần luật bắt buộc lưu, nhưng phải nói rõ phần nào và căn cứ gì.
Bị lộ dữ liệu từ lâu, nay mới phát hiện thì còn đòi bồi thường được không?
Yêu cầu bồi thường có thời hiệu theo pháp luật dân sự, thường tính từ khi bạn biết hoặc phải biết quyền lợi bị xâm phạm. Phát hiện muộn không tự động mất quyền, nhưng nên hành động sớm và giữ lại mọi bằng chứng về thời điểm phát hiện.